Hackers alinhados ao Estado chinês invadiram o serviço de backup na nuvem da ConnectWise e roubaram credenciais usadas para conectar o serviço aos sistemas dos clientes, segundo pesquisadores de segurança da Microsoft. Essas credenciais poderiam permitir que os invasores entrassem nos ambientes dos clientes hospedados pela Microsoft como usuários autorizados e acessassem e-mails e outros arquivos.
A Microsoft afirma que os hackers usaram agentes de IA para fazer quase 3.000 tentativas de login por minuto contra cerca de 2.250 organizações. Esse número se refere às tentativas de login; a fonte não informa quantas foram bem-sucedidas nem identifica as organizações afetadas.
Como a invasão aconteceu
As credenciais de aplicativo roubadas conectam o serviço de backup da ConnectWise às contas corporativas dos clientes. Uma vez dentro do ambiente Microsoft de um cliente, os invasores poderiam acessar os dados armazenados ali, e não apenas os backups mantidos pela ConnectWise.
A Microsoft atribuiu a velocidade da campanha ao ARTEX, uma estrutura de IA de código aberto projetada para trabalhar com modelos de IA e testar a resistência das defesas cibernéticas. Segundo a fonte, o mesmo software foi usado em uma invasão recente aos sistemas financeiros da Coreia do Sul, onde muitas organizações supostamente tinham segurança fraca e não contavam com autenticação multifator. A fonte não fornece detalhes técnicos sobre como o ARTEX foi usado em nenhum dos incidentes.
Resposta da ConnectWise
A ConnectWise informou que havia suspendido o acesso ao seu sistema de backup na nuvem e estava investigando a invasão. Em 22 de outubro, a empresa disse que trabalhava para restabelecer o serviço. A fonte não identifica clientes afetados, não informa quantas contas foram acessadas com sucesso nem especifica quais dados os invasores obtiveram.
O relato da Microsoft destaca como o roubo de credenciais pode transformar uma invasão a um prestador de serviços em uma via de acesso aos sistemas dos próprios clientes. Mas o ritmo informado das tentativas de login, por si só, não demonstra que todas as organizações visadas foram invadidas.
Por que importa
Para empresas que conectam contas hospedadas pela Microsoft ao serviço de backup da ConnectWise, o roubo de credenciais poderia expor e-mails e outros arquivos além do sistema de backup. A fonte não identifica os clientes afetados nem confirma quantas organizações tiveram dados acessados, portanto a extensão real do incidente permanece incerta.
